¿Cómo funciona el ataque 'QuantumInsert'?

"Y, finalmente, me gustaría saber si hay algunas formas de proteger su acceso a la web de este ataque (a nivel individual)?" La respuesta a esta pregunta es no. Algunos ataques nunca tocarían tu servidor. Aquí hay un simple dibujo ASCII para explicarlo todo.

Visitor (me) --> my ISP (1) --> another provider (2) --> another provider (3) --> your server (4)

En cualquier punto entre 1-3 habrá muchos enrutadores e interruptores. Cualquier atacante puede modificar los datos ANTES  vuelve a mi Considera lo siguiente. Tienes un sitio web que solo muestra el tiempo, nada más. No hay código HTML, solo se muestra la hora. En CUALQUIER momento en el tiempo, se puede colocar un TAP para modificar los datos:

Me --> go get the time --> your server
Your server --> here is the time --> network (this is beyond your control now)

¿El ataque?

Your server --> here is the time --> network --> TAP (modify this page) --> me

¿Ves el dilema? Puedes gritar: "¡pero SSL! Y TLS!" y no hará nada contra un certificado firmado que se inyecte. Puedes gritar: "Voy a MD5 checksum la página!" Pero te estás perdiendo el punto subyacente, solo puedes controlar lo que controlas. La dura realidad es que hay poco que puedas hacer al final del día.

¿De qué se trata? SSL / TLS hará poco cuando se trata de la "web" a través de la navegación pública.

Bueno, la defensa más efectiva probablemente estaría operando bajo condiciones no estándar para complicar el uso de ataques conocidos. Por ejemplo, si ejecutó una VM en su navegador, entonces un compromiso no importaría a menos que también puedan salir de la VM, pero cuando se trata de un atacante que lo está atacando directamente y tiene recursos masivos, probablemente no sea seguro asumir que tampoco tiene una manera de salir de la VM, pero si puede limitar lo que puede conectarse a su sistema (a través de un firewall externo) y puede asegurarse de que solo se permiten los sitios que desea ir para ser visitado, esto teóricamente proporcionaría una protección decente.

Alternativamente, si solo cargó contenido HTTPS, evitaría la inserción de contenido de terceros siempre y cuando verifique el certificado (y el sitio con el que está interactuando no ha permitido que su clave privada se vea comprometida). De lo contrario, es razonable suponer que cualquier parte capaz de controlar un gran número de nodos de enrutamiento en Internet podría modificar su tráfico si así lo desea e inyectar a un hombre en el ataque central.

Realmente se trata de las mejores prácticas generales para la navegación no confiable y el uso de personas típicas en las protecciones medias. No es realmente una nueva amenaza, solo la confirmación de una amenaza que todos conocemos fue una posibilidad durante mucho tiempo.